DNS

DNS (Domain Name System, systém doménových jmen) je adresář internetu. Lidé si pamatují názvy jako kryptopedia.cz, ale počítače komunikují pomocí číselných IP adres. DNS mezi nimi překládá: když do prohlížeče napíšete doménu, zařízení se nejprve zeptá DNS serveru, jakou má adresu, a teprve potom se připojí.

Překlad trvá obvykle zlomek sekundy a probíhá u každé nové domény – při otevření webu, odeslání e-mailu i spuštění aplikace. DNS proto ovlivňuje rychlost i soukromí: kdo provozuje váš DNS server, vidí seznam domén, které navštěvujete, i když samotný obsah stránek je šifrovaný.

Co je to DNS a jak funguje překlad jmen

Dotaz ze zařízení přijme rekurzivní resolver – nejčastěji server vašeho poskytovatele internetu nebo veřejný resolver, který jste si nastavili. Pokud odpověď nemá v paměti, postupně se ptá kořenových serverů, pak serverů domény nejvyšší úrovně (například .cz) a nakonec autoritativního serveru konkrétní domény, který vrátí výslednou adresu.

Odpovědi se ukládají do mezipaměti (cache) na dobu určenou hodnotou TTL. Díky tomu se resolver nemusí při každé návštěvě ptát celé hierarchie. Má to i stinnou stránku: změna DNS záznamu se po internetu rozšíří až po vypršení TTL, a proto přesun webu na nový server někdy trvá hodiny.

Co je to DNS záznam

Informace o doméně jsou uložené v DNS záznamech různých typů. Záznam A obsahuje adresu IPv4, AAAA adresu IPv6 a CNAME odkazuje na jiné jméno. Záznam MX určuje poštovní servery domény, NS říká, které servery jsou pro doménu autoritativní, a TXT nese textové údaje, například ověření vlastnictví domény.

Záznamy TXT slouží i k ochraně před podvrženými e-maily: pravidla SPF, DKIM a DMARC určují, které servery smějí posílat poštu jménem domény. Pokud je doména nemá, útočníci ji snáz zneužijí k phishingu.

DNS a soukromí: šifrované a privátní DNS

Klasické dotazy DNS putují nešifrovaně. Poskytovatel internetu, správce veřejné Wi-Fi nebo kdokoli na trase tak vidí, jaké domény navštěvujete, a může odpovědi i podvrhnout. Rozšíření DNSSEC ověřuje, že odpověď pochází od správce domény, dotaz ale neskrývá.

Soukromí řeší šifrované protokoly DNS over HTTPS (DoH) a DNS over TLS (DoT). Většina moderních prohlížečů podporuje DoH a Android má od verze 9 volbu „Soukromé DNS“ (často označovanou jako privátní DNS), která používá DoT. Šifrování skryje dotazy před sítí, resolver je ale vidí dál – důvěra se jen přesouvá od poskytovatele internetu k provozovateli resolveru. Více v kategorii IP, DNS a proxy.

Jak vybrat DNS server

Ve výchozím stavu zařízení používá DNS server poskytovatele internetu, který dostane přes router. Změnit ho můžete v routeru (platí pro celou domácnost), v nastavení systému nebo přímo v prohlížeči. Veřejné resolvery se liší rychlostí, zásadami uchovávání logů, jurisdikcí a doplňkovými funkcemi, například blokováním známých škodlivých domén.

Před volbou se vyplatí přečíst si, jaké údaje provozovatel zaznamenává a jak dlouho je drží. Některé resolvery nabízejí filtrování reklam nebo obsahu nevhodného pro děti. Filtrování na úrovni DNS je pohodlné, nenahrazuje ale aktualizovaný systém a opatrnost při klikání na odkazy.

Časté dotazy

Co je to DNS server?

Je to server, který odpovídá na otázku, jakou IP adresu má zadaná doména. Běžně ho provozuje poskytovatel internetu, můžete si ale nastavit i jiný, veřejný resolver.

Co je to privátní DNS v telefonu?

Volba „Soukromé DNS“ v Androidu posílá dotazy šifrovaně přes DNS over TLS k vybranému resolveru. Síť, ke které jste připojeni, tak nevidí, jaké domény navštěvujete.

Jsou veřejné DNS servery bezpečné?

Známí provozovatelé veřejných resolverů jsou zpravidla spolehliví, rozdíly jsou v tom, co zaznamenávají a kde sídlí. Rozhodujte se podle jejich zásad ochrany soukromí, ne jen podle rychlosti.

Skryje šifrované DNS moji IP adresu?

Ne. Šifrované DNS chrání pouze dotazy na jména domén. Navštívený server stále vidí vaši IP adresu – k jejímu skrytí slouží VPN, proxy nebo Tor.